檢測(cè)Linux系統(tǒng)是否被黑的技巧 |
發(fā)布時(shí)間: 2012/6/18 20:17:25 |
俗稱(chēng)“腳本小鬼”的家伙 是屬于那種很糟糕的黑客,因?yàn)榛旧纤麄冎械脑S多和大多數(shù)人都是如此的沒(méi)有技巧?梢赃@樣說(shuō),如果你安裝了所有正確的補(bǔ)丁,擁有經(jīng)過(guò)測(cè)試的防火墻,并且在多個(gè)級(jí)別都激活了先進(jìn)的入侵檢測(cè)系統(tǒng),那么只有在一種情況下你才會(huì)被黑,那就是,你太懶了以至沒(méi)去做該做的事情,例如,安裝BIND的最新補(bǔ)丁。 一不留神而被黑確實(shí)讓人感到為難,更嚴(yán)重的是某些腳本小鬼還會(huì)下載一些眾所周知的“root kits”或者流行的刺探工具,這些都占用了你的CPU,存儲(chǔ)器,數(shù)據(jù)和帶寬。這些壞人是從那里開(kāi)始著手的呢?這就要從root kit開(kāi)始說(shuō)起。 一個(gè)root kit其實(shí)就是一個(gè)軟件包,黑客利用它來(lái)提供給自己對(duì)你的機(jī)器具有root級(jí)別的訪(fǎng)問(wèn)權(quán)限。一旦這個(gè)黑客能夠以root的身份訪(fǎng)問(wèn)你的機(jī)器,一切都完了。 唯一可以做就是用最快的效率備份你的數(shù)據(jù),清理硬盤(pán),然后重新安裝操作系統(tǒng)。無(wú)論如何,一旦你的機(jī)器被某人接管了要想恢復(fù)并不是一件輕而易舉的事情。 你能信任你的ps命令嗎? 找出root kit的首個(gè)竅門(mén)是運(yùn)行ps命令。有可能對(duì)你來(lái)說(shuō)一切都看來(lái)很正常。圖示是一個(gè)ps命令輸出的例子。真正的問(wèn)題是,“真的一切都正常嗎?”黑客常用的一個(gè) 詭計(jì)就是把ps命令替換掉,而這個(gè)替換上的ps將不會(huì)顯示那些正在你的機(jī)器上運(yùn)行的非法程序。為了測(cè)試個(gè),應(yīng)該檢查你的ps文件的大小,它通常位于 /bin/ps.在我們的Linux機(jī)器里它大概有60kB.我最近遇到一個(gè)被root kit替換的ps程序,這個(gè)東西只有大約12kB的大小。 另一個(gè)明顯的騙局是把root的命令歷史記錄文件鏈接到/dev/null.這個(gè)命令歷史記錄文件是用來(lái)跟蹤和記錄一個(gè)用戶(hù)在登錄上一臺(tái)Linux機(jī)器后所用過(guò)的命令的。黑客們把你的歷史紀(jì)錄文件重定向到/dev/null的目的在于使你不能看到他們?cè)?jīng)輸入過(guò)的命令。 你可以通過(guò)在shell提示符下敲入history來(lái)訪(fǎng)問(wèn)你的歷史記錄文件。假如你發(fā)現(xiàn)自己 正在使用history命令,而它并沒(méi)有出現(xiàn)在之前使用過(guò)的命令列表里,你要看一看你的~/.bash_history 文件。假如這個(gè)文件是空的,就執(zhí)行一個(gè)ls -l ~/.bash_history命令。在你執(zhí)行了上述的命令后你將看到類(lèi)似以下的輸出: -rw—— 1 jd jd 13829 Oct 10 17:06 /home/jd/.bash_history 又或者,你可能會(huì)看到類(lèi)似以下的輸出: lrwxrwxrwx 1 jd jd 9 Oct 10 19:40 /home/jd/.bash_history -> /dev/null 假如你看到的是第二種,就表明這個(gè) .bash_history 文件已經(jīng)被重定向到/dev/null.這是一個(gè)致命的信息,現(xiàn)在就立即把你的機(jī)器從Internet上斷掉,盡可能備份你的數(shù)據(jù),并且開(kāi)始重新安裝系統(tǒng)。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |